NOP::Nuances of Programming
Kanalga Telegram’da o‘tish
Любые вопросы по сотрудничеству: @ramilkr Если нужен токен: https://telega.in/c/nuancesprog NOP::Humor - https://t.me/nophumor NOP::Recruiter Удаленка- https://t.me/nopremote РКН: 4977653520
Ko'proq ko'rsatish
Tarmoq:📈 Telegram kanali NOP::Nuances of Programming analitikasi
NOP::Nuances of Programming (@nuancesprog) Rus til segmentidagi kanali faol ishtirokchi. Hozirda hamjamiyat 56 068 obunachidan iborat bo'lib, Texnologiyalar & Aralashmalar toifasida 2 354-o'rinni va Rossiya mintaqasida 10 798-o'rinni egallagan.
📊 Auditoriya ko‘rsatkichlari va dinamika
невідомо sanasidan buyon loyiha tez o‘sib, 56 068 obunachiga ega bo‘ldi.
30 Oktabr, 2026 dagi oxirgi ma’lumotlarga ko‘ra kanal barqaror faollikka ega. Oxirgi 30 kunda obunachilar soni -330 ga, so‘nggi 24 soatda esa -14 ga o‘zgardi va umumiy qamrov yuqori darajada qolmoqda.
- Tasdiqlash holati: Tasdiqlanmagan
- Jalb etish (ER): Auditoriya o‘rtacha 3.55% darajada jalb etiladi. Nashrdan keyingi dastlabki 24 soatda kontent odatda umumiy obunachilar sonining 2.59% ini tashkil etuvchi reaksiyalarni to‘playdi.
- Post qamrovi: Har bir post o‘rtacha 1 991 marta ko‘riladi; birinchi sutkada odatda 1 452 ta ko‘rish yig‘iladi.
- Reaksiyalar va o‘zaro ta’sir: Auditoriya faol: har bir postga o‘rtacha 3 ta reaksiya keladi.
- Tematik yo‘nalishlar: Kontent javascript, webdevelopment, backend, архитектура, вебинаре kabi asosiy mavzularga jamlangan.
📝 Tavsif va kontent siyosati
Muallif resursni shaxsiy fikrni ifoda etish maydoni sifatida ta’riflaydi:
“Любые вопросы по сотрудничеству: @ramilkr
Если нужен токен:
https://telega.in/c/nuancesprog
NOP::Humor - https://t.me/nophumor
NOP::Recruiter Удаленка- https://t.me/nopremote
РКН: 4977653520”
Yuqori yangilanish chastotasi (oxirgi ma’lumot 31 Oktabr, 2026 da olingan) sababli kanal doimo dolzarb va katta qamrovli bo‘lib qoladi. Analitika auditoriya kontent bilan faol hamkorlik qilishini, uni Texnologiyalar & Aralashmalar toifasidagi muhim ta’sir nuqtasiga aylantirishini ko‘rsatadi.
56 068
Obunachilar
-1424 soatlar
-617 kun
-33030 kun
Postlar arxiv
Почему после 6 лет я разочаровался в GraphQL
Автор шесть лет использовал GraphQL в проде и больше не рекомендует его большинству. Безопасность и производительность перевесили удобство запросов.
GraphQL увеличивает поверхность атаки: авторизацию надо проверять на каждом поле. Он отправил 128-байтный запрос без логина и получил 500 за 10 секунд.
Он советует ограничивать глубину и считать стоимость запросов. Но оценка сложности ошибается на циклических связях в данных.
🔗 Подробнее
@nuancesprog #Security
arm64e: как устроена подпись указателей PAC
Apple на arm64e подписывает указатели, которые может подменить атакующий.
Процессор проверяет подпись в момент перехода, а ключ недоступен через память.
Подпись хранится в неиспользуемых старших битах указателя.
На этом Mac под неё отведено 16 бит, а на A12 для ядра — 24.
Слабое место — указатели на функции в C: стандарт требует побайтового копирования.
Поэтому их подписывают одинаково, и любой годится вместо любого другого.
🔗 Подробнее
@nuancesprog #Security #C
Решение проблемы COUNT в Postgres
ParadeDB ускорила COUNT-запросы поиска в два раза. Пропускная способность выросла с 2645.8 до 5353.3 QPS.
Проверка видимости строк занимала 81% всех чтений страниц. Сегментная партиция по ctid сократила эти чтения с 1382 до 30.
Второй шаг — инвертировать карту DocId → ctid. Старый маппинг требовал n чтений ctid для n совпадений.
🔗 Подробнее
@nuancesprog #Data #Postgres
H.264 Is Magic
H.264 — стандарт видеокодека для интернет-видео, Blu-ray, телефонов, дронов и камер.
Несжатое видео 1080p при 60 кадрах в секунду занимает примерно 370 МБ/с.
Автор сравнил PNG-скриншот и H.264-видео одной и той же страницы.
Скриншот весит 1015 КБ, а пять секунд видео с 300 кадрами — 175 КБ.
H.264 сжимает с потерями: он выбрасывает малозаметные детали изображения.
У MacBook Pro пропадают отверстия решёток динамиков, а кадр весит 7% исходника.
🔗 Подробнее
@nuancesprog #Data
Слабое звено Azure: пять полных кросс-тенантных взломов
Исследователь Binary Security нашёл уязвимости в API Connections внутри Azure Logic Apps. Они дают полный доступ к чужому бэкенду и принесли исследователю 200 000 долларов.
ARM-запрос идёт в общий API Management с правами на все подключения. Поэтому чужой токен можно применить к Key Vault, Azure SQL или Jira.
Первый фикс закрыл path traversal, но не архитектурный доступ к чужим токенам. Минимизируй права токенов у своих Azure API Connections.
🔗 Подробнее
@nuancesprog #Security
📬 Дайджест недели
Лучшее за неделю:
• Исходники GPU tensor unlock для RTX 4090 и 4070 Ti SUPER
• OpenAI выпустил php2shell-checker для проверки PHP2Shell
• Reylo: импорт .sql в TypeScript без кодогенерации
• Разработчик случайно раскрыл PHP RCE до эмбарго
• Старая CNN обошла новые LLM в диагностике рака кожи
• Sebastian Raschka выпустил видеокурс по reasoning-моделям
• Claude формально доказал безопасность 123 библиотек
Мимо ленты, но стоило внимания:
• EthanArbuckle/fairplay-decrypt — Offline FairPlay App Store IPA decryption with independent key derivation
• Chained PHP2Shell Exploit Roots 25 Servers, Including US Government Servers
• Tailscale SSH: Investigation and remediation update
• Code-execution flaw in UEFI firmware affects most servers on planet Earth
• Tailscale SSH: Investigation and remediation update
Наша сетка: 😄 юмор — @nophumor · 💼 удалёнка — @nopremote
@nuancesprog #Digest
Undo для Postgres: откат ровно тех строк, что испортили
Muhammad Aqeel представил pgVolvra — инструмент точного отката изменённых строк. Он возвращает только строки, которые задела ошибочная команда, и не трогает остальное.
Обычный откат в Postgres — это восстановление копии и ручная сверка, занимает часы. pgVolvra записывает изменения строк и работает на чистом SQL и PL/pgSQL без расширений.
Полезно сначала смотреть прошлое через
as_of и включить предупреждение о массовых изменениях. Ставится инструмент одним SQL-файлом, а откат требует confirm => true.
🔗 Подробнее
@nuancesprog #Tools #Postgres
Логи с инъекцией обманули открытые модели
Автор спрятал prompt injection в логе из 300 записей ASP.NET Core. Четыре открытые модели ответили «GHOST IN THE SHELL» вместо разбора инцидента.
Лог выглядел как обычный сбой payments-api с ретраями и circuit breaker. Если скармишь такие логи ИИ без проверки, вывод можно подменить.
Gemini 2.5 Flash-Lite, 3.5 Flash-Lite, Codex Luna и Sol инъекцию проигнорировали. Атаку пришлось дорабатывать четыре или пять раз.
🔗 Подробнее
@nuancesprog #AI
Microsoft Edge: full chain без порчи памяти
Orange Tsai собрал для Edge цепочку из пяти багов и двух функций Windows. За неё дали $175 000 и 17.5 баллов Master of Pwn.
Первая уязвимость — UXSS из-за навигации без привязки к вкладке. EdgeCAGuidanceNavigationThrottle запускает переход не из рендерера, а из браузерного процесса.
Если не указан source_contents, Chromium берёт текущую активную вкладку. Атакующий переключает вкладку за время задержки и выполняет скрипт на чужом сайте.
🔗 Подробнее
@nuancesprog #Security
26 400 живых учётных данных в 7,25 млн репозиториев Gitee
Исследователь Бен Зиммерман с командой Kingfisher из MongoDB просканировал 7 256 531 публичных репозиториев Gitee. Он нашёл 26 400 уникальных проверенных живых учётных данных.
Среди находок — действующий админ-доступ крупной корпоративной ИИ-платформы и тысячи живых ключей облачных провайдеров. На Gitee нет публичных партнёрств по сканированию секретов, как на GitHub.
Для обхода ограничений Gitee он собрал 1 704 759 имён пользователей и обходил страницы. Проверь свои публичные репозитории на секреты — история коммитов не прощает загрузок ключей.
🔗 Подробнее
@nuancesprog #Security #Git
Как масштабировать SIMD-код на любую ширину векторов
Статья рассказывает, как писать SIMD-код, который не привязан к конкретной ширине. Это позволяет одному исходнику работать на разных процессорах.
Обычно SIMD-код пишут под конкретный набор инструкций вроде AVX2. При переходе на более широкие регистры код приходится переписывать.
Стоит использовать обёртки и автовекторизацию вместо ручного указания ширины. Так код сам адаптируется под разные наборы инструкций.
🔗 Подробнее
@nuancesprog #Languages #C
Таблицы поиска на миллиард запросов в секунду
Даниэль Лемир разбирает быстрые таблицы поиска строк в C++.
Заявлена скорость в миллиард запросов в секунду.
Ключи известны при написании кода и не меняются.
unordered_map всё равно хеширует строку и обходит список.
Автор предлагает perfect hashing вместо unordered_map.
Детали реализации он показывает в статье.
🔗 Подробнее
@nuancesprog #Languages
Софт может ухудшаться, но раньше был ужасен
Джейк Войтко пишет, что софт раньше был ужасен. Синие экраны и крахи были нормой с 1990 года.
Windows занимала около 95% рынка, а драйверы были глючными. Пользователи до сих пор рефлекторно жмут
Ctrl+S из-за травмы.
Рост кода в 10 раз без снижения ошибок делает софт хуже. Не романтизируй прошлое: текущие баги не уникальны.
🔗 Подробнее
@nuancesprog #Opinion
Что решает SKIP LOCKED, а что остаётся вам
SKIP LOCKED позволяет брать следующую свободную строку, не дожидаясь заблокированных.
Postgres получил SKIP LOCKED в версии 9.5, MySQL — в 8.0.
SKIP LOCKED защищает только момент взятия задачи.
Упавший воркер оставляет задачу в статусе
running навсегда.
Нужны lease (время владения) и heartbeat, чтобы воркер не потерял задачу.
Fencing token решает, чей результат считать при двух владельцах.
🔗 Подробнее
@nuancesprog #Infrastructure #Postgres
Код пишется в Cursor, ревьюит Claude, деплой уходит на AWS. Осталось за все это заплатить
Российские карты не принимают многие зарубежные сервисы для разработчиков. Можно искать посредников, просить знакомых с иностранной картой, а можно оформить собственную.
Yello Card — виртуальная карта иностранного эмитента с пополнением рублями через СБП без комиссии и бесплатным обслуживанием.
С тарифом Ultima+ можно оплачивать:
✔️ GitHub Copilot, Cursor, JetBrains
✔️ Claude, ChatGPT и их API
✔️ AWS, Google Cloud, Vercel, Hetzner
Всего в списке поддерживаемых — более 375 сервисов, включая Figma и Notion.
Нужный сервис можно проверить на сайте ещё до выпуска карты.
Проверить, какие сервисы можно оплатить
CI зелёный. Может ли PR украсть секреты?
GitHub Actions запускает workflow по pull request. Тесты зелёные, но workflow может получить доступ к секретам и токену.
Опасны связки pull_request_target и workflow_run с выполнением кода из PR. Они работают в привилегированном контексте и могут отдать секреты чужому коду.
Дай workflow только нужные права и не подключай лишние секреты. Проверяй сторонние actions и не вставляй заголовок PR прямо в shell-скрипт.
🔗 Подробнее
@nuancesprog #Security #GitHub
Функции 'use server' в Next.js — публичные HTTP-эндпоинты
Каждая экспортированная функция с директивой
'use server' компилируется в публичный POST-эндпоинт. Её можно вызвать через curl или Postman, передав любой JSON.
Проверка в layout.tsx или page.tsx не защищает Server Action: перед вызовом layout.tsx не выполняется. middleware.ts тоже не спасёт как единственный рубеж безопасности.
Проверяй права прямо внутри каждой функции с 'use server' и не экспортируй лишнее. Не верь TypeScript: типы стираются, а в теле может прийти любой JSON.
🔗 Подробнее
@nuancesprog #Security #React
CRDT на время слияния: как работает Eg-walker
Joseph Gentle и Martin Kleppmann представили Eg-walker на EuroSys 2025. Классический OT (операционное преобразование) сливает реальную историю Git Makefile за час, Eg-walker — за 24 миллисекунды.
Обычные CRDT (бесконфликтные структуры данных) держат метаданные в памяти и требуют свыше 10x памяти OT. Eg-walker хранит историю правок и собирает CRDT только при конкуренции.
При обычной работе правки применяются к строке без метаданных. Временный CRDT нужен только для конкурентных событий, и его выбрасывают.
🔗 Подробнее
@nuancesprog #Tools
Экспериментальный JIT в CPython уберут
В 2024 году в Python 3.13 появился экспериментальный JIT-компилятор CPython. В июне совет приостановил работу над ним, а после отзыва PEP 836 JIT уберут.
PEP 744 о JIT был информационным и не давал формального согласия на доработку. Это оставляло неопределённость для разработчиков CPython, мейнтейнеров пакетов и пользователей.
Для рабочих проектов не закладывайся на JIT в ближайших версиях Python. Эксперименты с ним лучше держать вне основной ветки CPython.
🔗 Подробнее
@nuancesprog #Languages #Python
Microsoft анонсировала Type Server Protocol
Microsoft опубликовала спецификацию Type Server Protocol (TSP). Он расширяет Language Server Protocol и использует его структуры данных.
Для IDE и анализаторов это единый способ получать данные о типах. Сервер отдаёт вычисленные, объявленные и ожидаемые типы.
Протокол пока в 0.x: минорные версии могут ломать совместимость. Проверяй возвращаемую версию через typeServer/getSupportedProtocolVersion.
🔗 Подробнее
@nuancesprog #Tools #Python
